FakeAPP

hsks

现在压力来到了火绒白加黑系列和联想系白加黑系列，一周快结束了，还没更新（
https://wwu.lanzouq.com/iqpKh1mkc9ni

TosBtKbd.dat（UpLoader.exe）+WWStartupCtrl64.dll（wwstsvc.exe）双白加黑（？）系列


坏，感谢蓝奏云自动过滤敏感词，不然我直接跟卡饭say goodbye（

恶意行为可能得过几分钟才能触发


补：关于该系列一些有趣的部分：

该系列样本有两组FakeAPP，泡泡和Fly（过滤）
除了msi打包样本，还观察到一次exe打包样本
样本通过AD+恶意SEO优化的方式传播（之前360披露过系列假泡泡一次）

似乎是正常网站过期后抢注的域名

班德就是我

双击过小红伞

LSPLDD

不等了，编辑

DisaPDB

病毒作者都放假了我们没得放（恼）

1. 事件: 检测到恶意对象
   
2. 用户: PC-20231213AZQL\Administrator
   
3. 用户类型: 活动用户
   
4. 组件: 病毒扫描
   
5. 结果: 检测到
   
6. 结果说明: 检测到
   
7. 类型: 木马
   
8. 名称: VHO:Trojan.Win64.Kryptik.gen
   
9. 精确度: 启发式分析
   
10. 威胁级别: 高
    
11. 对象类型: 文件
    
12. 对象名称: Fly[过滤].msi
    
13. 对象路径: C:\Users\Administrator\Desktop
    
14. 对象的 MD5: 1A5E86C3B63E9FF0AAD1E288F372AE94
    
15. 原因: 云保护

复制代码

360ESC 扫描miss
双击

1. 时间        操作        说明        次数
   
2. 2024-01-28 19:48:02        [自动阻止]          模拟按键        防护 1 次
   
3. 详细描述：
   
4. 进程：C:\Windows\System32\msiexec.exe "C:\Windows\System32\msiexec.exe" /i "C:\Users\Administrator\Desktop\Fly[过滤].msi" , (1, 23)
   
5. 动作：模拟按键
   
6. 路径：
   

复制代码

1. 时间        操作        说明        次数
   
2. 2024-01-28 19:48:56        [已阻止]          驱动/服务        防护 1 次
   
3. 详细描述：
   
4. 进程：C:\Windows\System32\msiexec.exe
   
5. 动作：服务创建
   
6. 路径：C:\1\Fly[过滤]\sysproxy\amd64\wwstsvc.exe
   
7. 风险文件：C:\Users\Administrator\Desktop\Fly[过滤].msi
   
8. 拦截补充描述：通常安全软件或硬件在安装时才会修改此注册表项。木马、病毒经常利用驱动提升破坏能力。如果您不认识此程序，请立即阻止。
   
9. 
   
10. 防护信息: AD|10, 12|40, 40, 10||
    

复制代码

biue

t0kenzero

我没记错这个得等好久来着X
短时间跑貌似没法触发UpLoader.exe?



可惜S1上是没动作的
忙别的去了，忘记看这个了

jwb123

火绒kill

hsks

LSPLDD 发表于 2024-1-28 19:45
BD静态miss双击我再看看启动力
----目前BD和病毒依旧都在大眼瞪小眼，我再等几分钟

话说触发外联了吗（

LSPLDD

hsks 发表于 2024-1-28 20:15
话说触发外联了吗（

有外联的，BD目前无任何反应，我不等了

dght432

这个网站打不开啊，难道需要方法才能打开（？）